sqlmap-database-penetration-testing
Zautomatyzuj testowanie podatności SQL injection i wydobywaj dane z baz danych
Instalacja
Wybierz klienta i sklonuj repozytorium do odpowiedniego katalogu skilli.
Instalacja
O skillu
Skill do testowania penetracyjnego baz danych za pomocą SQLMap. Pozwala na automatyczne wykrywanie i eksploatację podatności SQL injection, enumerację struktury bazy danych, odkrywanie tabel i kolumn oraz wydobywanie danych wrażliwych. Obsługuje MySQL, PostgreSQL, MSSQL, Oracle i inne systemy zarządzania bazami danych. Zawiera metodologię systematycznego testowania, od identyfikacji punktu wstrzyknięcia po ekstrakcję haseł i danych użytkowników. Wymaga uprzedniego uzyskania pisemnej zgody na przeprowadzenie testów penetracyjnych.
Jak używać
Przygotuj cel testowania — upewnij się, że masz pisemną autoryzację do przeprowadzenia testów penetracyjnych na wybranej aplikacji webowej. Zidentyfikuj URL z potencjalnym parametrem podatnym na SQL injection (np. ?id=1).
Zainstaluj SQLMap — jeśli pracujesz na Kali Linux, narzędzie jest zazwyczaj preinstalowane. W przeciwnym razie pobierz SQLMap z repozytorium GitHub i zainstaluj zgodnie z instrukcjami.
Zweryfikuj podatność ręcznie — dodaj cudzysłów do parametru (np. ?id=1') i sprawdź, czy aplikacja zwraca komunikat błędu SQL. Jeśli tak, punkt jest podatny na injection.
Uruchom SQLMap na docelowym URL — użyj polecenia sqlmap z parametrem -u i adresem URL zawierającym podatny parametr. SQLMap automatycznie przetestuje różne techniki injection i potwierdzi typ podatności.
Wyekstrahuj dane z bazy — po potwierdzeniu podatności użyj opcji enumeracji, aby odkryć nazwy baz danych, tabele, kolumny i ich typy danych. Następnie wydobądź wrażliwe dane takie jak nazwy użytkowników, hasła i ich skróty.
Przygotuj raport — dokumentuj typ wykrytej podatności SQL injection, jej poziom zagrożenia oraz wszystkie wydobyte dane. Raport powinien zawierać potwierdzenie podatności i rekomendacje naprawcze.